สงครามไซเบอร์คริปโตเกาหลีเหนือ: บทเรียน custody จากเหตุ Binance

Binance ประเมินผลกระทบรวมของเหตุการณ์นี้ไว้ที่ประมาณ $6.3 billion และระบุว่าจะใช้ SAFU กับเงินของบริษัทชดเชยความเสียหาย TRM Labs ติดตามพบเงินประมาณ $6.36 billion ไหลออกจากกระเป๋าของ Binance บน 10 บล็อกเชน โดยธุรกรรมส่วนใหญ่เกิดขึ้นในช่วงราว 20 นาที นับตั้งแต่ 20:05 UTC ของวันที่ 29 ตุลาคม 2026

เมื่อวันที่ 31 ตุลาคม 2026 FBI เปิดเผยต่อสาธารณะว่าเกาหลีเหนืออยู่เบื้องหลังการขโมยสินทรัพย์ดิจิทัลมูลค่ามากกว่า $6 billion จาก Binance ด้าน TRM Labs ระบุด้วยความเชื่อมั่นสูงว่าเป็นฝีมือของหน่วย TraderTraitor ของเกาหลีเหนือ โดยอ้างอิงข้อมูลข่าวกรองทั้ง on-chain และ off-chain

ใน บทสัมภาษณ์กับ Cointelegraph Ari Redbord ผู้บริหารของ TRM Labs เรียกการโจมตีนี้ว่า “สงครามไซเบอร์” พร้อมเรียกร้องให้รัฐบาลใช้ปฏิบัติการไซเบอร์เชิงรุกต่อแฮ็กเกอร์เกาหลีเหนือ รวมถึงเครือข่ายฟอกเงินและธนาคารที่พวกเขาใช้ อย่างไรก็ตาม ยังไม่มีคำตอบว่ารัฐบาลใดจะเลือกใช้มาตรการดังกล่าวหรือไม่

ผลสอบสวนเบื้องต้นของ Binance ชี้ไปที่แล็ปท็อปของวิศวกร DevOps ที่ถูกเจาะ จนผู้โจมตีเข้าถึง service container ได้ โดย Binance ระบุว่าไม่พบหลักฐานว่า private key ของกระเป๋ารั่วไหล

TRM Labs รายงาน ว่าผู้โจมตีใช้การมอบสิทธิ์แบบ EIP-7702 กับ Ethereum hot wallet ขณะที่กระเป๋าบนอีก 9 เชนทำธุรกรรมโอนตามปกติด้วยลายเซ็น TRM ประเมินว่ารูปแบบนี้เป็นหลักฐานของการเจาะระบบโครงสร้างพื้นฐานสำหรับลงนามธุรกรรมของ Binance ทั้งนี้ งานวิจัยที่ให้มายังไม่พบการตรวจสอบทางเทคนิคโดยหน่วยงานอิสระที่ยืนยันลำดับเหตุการณ์ทั้งหมดและมาตรการแก้ไข

Tether ระบุว่าอายัด USDT ได้มากกว่า $1.5 billion ภายใน 30 นาทีหลังการโจมตีเมื่อวันที่ 29 ตุลาคม งานวิจัยที่ให้มายังยืนยันไม่ได้ว่าสุดท้ายแล้วคริปโตที่ถูกขโมยจะถูกยึดหรือกู้คืนได้เท่าใด แทนที่จะเพียงถูกอายัดไว้เท่านั้น อีกทั้งยังไม่ชัดเจนว่า Bitcoin และ Ether ส่วนที่เหลือซึ่งยังไม่ถูกอายัดจะถูกเคลื่อนย้ายผ่าน exchange, bridge, โปรโตคอล DeFi หรือโบรกเกอร์ over-the-counter มากน้อยเพียงใด

สำหรับเทรดเดอร์ที่กำลังเทียบการฝากสินทรัพย์ไว้กับ centralized exchange กับการใช้ self-custody เพื่อเทรด perpetuals แบบ on-chain เหตุการณ์นี้สะท้อนว่ามีหลายประเด็นที่ต้องแยกพิจารณา ไม่ควรเหมารวมเป็นเรื่องเดียว ทั้งช่องทางที่ผู้โจมตีใช้เข้าระบบ กิจกรรมการลงนามธุรกรรม การชดเชยความเสียหายให้ลูกค้า และการอายัดสินทรัพย์ ล้วนมาจากคนละส่วนของการรับมือเหตุการณ์

• อ่าน อัปเดตเหตุการณ์จาก Binance เพื่อดูคำชี้แจงเรื่องช่องทางที่ผู้โจมตีใช้เข้าระบบ การไม่พบหลักฐานว่า private key ของกระเป๋ารั่วไหล และคำมั่นว่าจะชดเชยความเสียหาย
• เทียบคำชี้แจงดังกล่าวกับ บทวิเคราะห์ on-chain ของ TRM Labs ซึ่งครอบคลุมทั้งการมอบสิทธิ์แบบ EIP-7702 และธุรกรรมที่ลงนามบนเชนอื่น ๆ
• มองการอายัดที่ Tether รายงานว่าเป็นมาตรการเฉพาะจุด ไม่ใช่ยอดกู้คืนสุดท้าย เพราะงานวิจัยที่ให้มายังไม่สรุปยอดที่ถูกยึดหรือกู้คืนได้จริง
• รอผลตรวจสอบทางเทคนิคจากหน่วยงานอิสระที่ยืนยันลำดับการโจมตีและมาตรการแก้ไขทั้งหมดของ Binance ก่อนถือว่าสาเหตุได้รับข้อสรุปโดยสมบูรณ์